CVE-2026-124462

Nome do Software Vulnerável e Versões Afetadas OpenEMR versões anteriores a 8.3.0

Description Existe uma referência direta insegura a objetos na função OnsiteDocumentController::Query(). Pacientes autenticados no portal podem ignorar a guarda de autorização ao fornecer um parâmetro Pid capitalizado. Ao enviar uma requisição para o endpoint 'api/onsitedocuments' com a variável Pid definida como o identificador de outro paciente, um invasor pode sobrescrever os critérios fixados na sessão para acessar e ler documentos locais contendo Informações de Saúde Protegidas (PHI) de outros pacientes.

Recommendations Atualize para a versão 8.3.0 ou posterior. Evite usar o parâmetro Pid no endpoint 'api/onsitedocuments' para solicitar dados de outros usuários.